Moldávia admite extração de dados de 750 mil — sem autor conhecido
Serviços digitais do governo da Moldávia (AGE)
alegado em · apurado em
O governo da Moldávia confirmou, por meio da Agência de Governança Eletrônica (AGE), que dados associados a cerca de 750 mil IDNPs (o número de identificação pessoal) foram extraídos entre 19 e 23 de outubro de 2026. O vetor oficial é a exploração de serviços acessíveis sem autenticação. Não há ator identificado nem reivindicação pública localizada. Nosso registro ("claimed / unverified") estava defasado: isto é uma divulgação oficial, não alegação de criminoso.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real e a extração de dados pessoais ocorreu. A AGE e o STISC confirmam, e a PM e a imprensa moldava repetem a mesma cifra. Essa convergência vem de uma única origem oficial, não de verificação independente. A cifra de ~750 mil é estimativa preliminar e pode mudar para cima ou para baixo quando a auditoria terminar.
O vetor foi a exploração de vulnerabilidades em serviços digitais acessíveis sem autenticação, seguida do uso dos dados obtidos para novas extrações, segundo a AGE. Isso aponta para falha de controle de acesso em serviços expostos, não para comprometimento de credenciais ou de uma base central. Esse relato é o único disponível, e a AGE não publicou detalhes técnicos. O que o desmentiria: o relatório final da auditoria indicar outro ponto de entrada.
O padrão numérico (cerca de 1 milhão de IDNPs consultados, cerca de 750 mil com dados extraídos, 11 milhões de requisições) é compatível com consulta automatizada por lista ou enumeração de IDNPs, e não com cópia de uma base inteira. É inferência nossa a partir dos números oficiais, sem confirmação da AGE. Ela seria derrubada se a auditoria mostrar exfiltração direta de um repositório.
Não existe atribuição sustentável. Nenhuma autoridade nomeou um responsável e não localizamos reivindicação de grupo. A fala do premier sobre ataques híbridos que a Moldávia sofre há anos é contexto geral, não atribuição ao caso. Qualquer vínculo com atores estatais hoje é especulação.
O registro da AGE sobre acessos aos dados dos cidadãos é um indicador ruim de exposição individual. A agência admite que parte das entradas no histórico do app EVO (pedidos de certidão ou de carteira de motorista que o usuário não fez) vem de um serviço que registrava errado a base legal do tratamento. Cidadãos não conseguem se autodiagnosticar. Só a lista de IDNPs da AGE responde se alguém foi afetado.
A denúncia de Victor Tătaru, ex-chefe de cibersegurança do STISC, sobre acesso não autorizado a sistemas da Comissão Eleitoral Central antes das eleições de 2025, não está provada e não foi comentada pelas instituições. Ele a associa ao ataque atual, mas a ligação é afirmação dele, sem evidência pública. Não a tratamos como parte do caso.
Análise
O registro tratava o caso como alegação ("claimed / unverified") e usava como nome da vítima a manchete do DataBreaches.net. Isso está errado em três pontos. Primeiro, não há alegação de ator: a fonte da informação é a própria vítima, o governo moldavo. Segundo, a data 2026-10-27 é a da confirmação da extração e da republicação, não a do anúncio, que foi em 24 de outubro. Terceiro, o título "Moldova Issues Warning About New Cyberattacks" soa como alerta de ataque iminente. Na prática, o premier fez uma advertência genérica sobre a tendência, embora tentativas adicionais tenham de fato ocorrido em 25 e 27 de outubro. Corrigimos selo para 'confirmed' e veredito para 'real'.
O que a vítima admite: segundo a AGE, dados associados a ~750 mil IDNPs foram extraídos sem autorização, e ~1 milhão de IDNPs foram consultados em tentativas de extração entre 19 e 23 de outubro. Os dados incluem identificação, familiares de primeiro grau, status de segurado, médico de família, benefícios sociais, pensões, deficiência, carteira de motorista, fotos, veículos e empresas. O STISC acrescenta IBAN, dívidas fiscais e histórico de pagamentos no MPay. A AGE ressalva que nem todas as pessoas tiveram todas as categorias expostas. A agência diz ainda que dados de cartões bancários não foram afetados e que não houve alteração indevida nos registros de estado.
A distância relevante não é entre ator e vítima, porque não há ator. É entre os números da própria vítima e entre as versões ao longo do tempo. Primeiro, 11 milhões de requisições, 1 milhão de IDNPs consultados e 750 mil extraídos são três grandezas distintas, e "750 mil" mede identificadores, não "registros" nem pessoas únicas. Segundo, a comunicação mudou: em 24 de outubro a AGE não confirmava extração. Em 27 de outubro, depois de a imprensa romena citar cidadãos que relataram nas redes sociais acessos aos seus dados, passou a confirmá-la. O STISC ainda usa o condicional ("ar fi fost extrase") no texto republicado pela Moldpres. Terceiro, o primeiro comunicado fala em ataque na noite de 22 de outubro, enquanto o posterior fala em 19 a 23.
Sobre o vetor, a explicação técnica da AGE é que os atacantes exploraram vulnerabilidades em serviços acessíveis sem autenticação e depois usaram os dados obtidos para extrair mais. Isso, somado ao padrão 1 milhão consultados / 750 mil extraídos, sugere enumeração a partir de IDNPs. É inferência nossa. Um presidente de comitê da ATIC chegou a dizer que o ataque não poderia ser feito por pessoa sem conhecimento técnico avançado. Isso não contradiz o relato oficial: explorar serviço sem autenticação pode ser simples, mas automatizar 11 milhões de requisições exige algum preparo. Mesmo assim, é opinião de especialista externo, sem acesso aos logs.
Sobre o histórico do EVO: usuários viram acessos aos seus dados atribuídos a pedidos que não fizeram. A AGE explica que isso vem de um serviço que registrava incorretamente a base de tratamento. Se a explicação vale, o log de acessos do cidadão perde valor como sinal de comprometimento. Também implica que havia falha de auditoria do próprio sistema, independente do ataque. A AGE não diz se esse defeito é anterior ao incidente.
O contexto pesa. Em fevereiro de 2026, o DataBreaches.net publicou análise questionando a negativa do governo, em maio de 2025, de que sua rede tivesse sido comprometida (caso Compensatii). Em abril de 2026 houve o incidente na base de saúde CNAM. Uma fonte citada pelo Risky Bulletin menciona que a Agência de Cibersegurança não descartava envolvimento russo naquele caso, mas isso não se transfere a este. Isto mostra um padrão de incidentes em portais e bases do Estado moldavo, não que sejam o mesmo ator ou a mesma falha.
Sobre atores: nenhuma fonte oficial nomeou responsável, e a imprensa registra que as autoridades não disseram quem está por trás. O premier relaciona o tema a ataques híbridos e à capacidade de IA de achar vulnerabilidades. Isso é enquadramento político e tecnológico, não atribuição. Também há a denúncia de Tătaru, ex-STISC, que liga acesso indevido à Comissão Eleitoral antes das eleições de 2025 ao ataque atual. Está em queixa ao Ministério Público, sem comentário das instituições. Fica registrada como alegação não verificada.
Cronologia
- 27 mai 2025O governo moldavo investiga alegação de venda, na darknet, de acesso à plataforma Compensatii e afirma não ter encontrado sinais de comprometimento (contexto, via cobertura do DataBreaches.net em fevereiro de 2026).
- 28 abr 2026DataBreaches.net republica relato de ataque ao banco de dados nacional de saúde (CNAM), com declaração de que cerca de 30% das informações foram afetadas. O Risky Bulletin informa que a CNAM confirmou o roubo de dados e negou a destruição de um terço da base. Esse incidente é separado do atual.
- 19 out 2026Início da janela de tentativas de acesso não autorizado e extração, segundo a AGE.
- 22 out 2026Primeiro comunicado oficial situa o ataque na noite de 22 de outubro, com cerca de 11 milhões de requisições e consultas suspeitas a bancos de dados. A janela 19–23 só aparece depois.
- 23 out 2026Às 11h30, a extração é interrompida. 82 serviços públicos e mais de 30 sistemas de informação e painéis administrativos são desconectados preventivamente.
- 24 out 2026AGE, STISC e Agência de Cibersegurança anunciam o ataque. Naquele momento não dizem se houve extração, quais plataformas foram atingidas nem quem seria o responsável. Polícia e Centro Nacional de Proteção de Dados Pessoais são notificados.
- 25 out 2026Por volta das 2h, nova tentativa de acesso forçado a serviços governamentais é identificada e bloqueada.
- 27 out 2026Por volta das 7h, novas tentativas de extração falham. No mesmo dia a AGE divulga a estimativa preliminar de ~750 mil IDNPs com dados extraídos e ~1 milhão consultados. O premier Vasile Tofan diz que incidentes assim tendem a ser mais frequentes.
Dados envolvidos
Impacto
Dados de cerca de 750 mil pessoas, segundo estimativa preliminar da AGE, foram extraídos. O pacote reúne identificação civil, vínculos familiares, informações de saúde e social (seguro, médico de família, pensões, deficiência), fotos, veículos, empresas e, segundo o STISC, IBAN, dívidas fiscais e histórico de pagamentos. A AGE descreve o risco principal como fraude e manipulação online: golpistas fingindo ser banco ou órgão público, usando nome e IDNP para ganhar confiança. As autoridades dizem que o IBAN sozinho não permite movimentar a conta e que cartões e registros de estado não foram afetados. Na prática, 82 serviços públicos e mais de 30 sistemas ficaram fora do ar, e alguns seguem desligados até a auditoria. O prejuízo concreto de fraude ainda não foi quantificado por nenhuma fonte.
Elos técnicos
Recomendações
- Exigir autenticação e autorização em todo endpoint que devolva dado pessoal, inclusive APIs internas expostas à rede e serviços de consulta por IDNP ou identificador equivalente. Inventariar o que responde sem autenticação.
- Aplicar limite de taxa e detecção de anomalia por identificador e por origem para consultas sequenciais ou em lote (padrão de enumeração). 11 milhões de requisições em poucos dias deveriam gerar alerta bem antes da exfiltração.
- Garantir que o log de acesso a dados pessoais registre corretamente ator, base legal e serviço de origem. Dados de auditoria incorretos impedem que o titular e o time de resposta a incidentes saibam quem foi acessado.
- Organizações que usam nome, data de nascimento, IDNP ou dados de família como fator de verificação de identidade (atendimento, cadastro, recuperação de conta) devem tratá-los como comprometidos para os afetados e exigir fator adicional.
- Bancos e operadoras que atendem moldavos devem monitorar tentativas de engenharia social e de abertura de contas ou alteração de cadastro que usem IBAN, endereço e dados familiares dos afetados.
- Para quem foi afetado: desconfiar de ligações ou mensagens em nome de banco ou órgão público, não informar senhas ou códigos e verificar solicitações por canais oficiais, como orienta a AGE.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Quem executou o ataque e com que motivação permanece desconhecido. Resolveria: atribuição oficial, reivindicação pública ou análise de infraestrutura dos atacantes.
Quais serviços e sistemas foram o ponto de entrada não foi divulgado. Resolveria: relatório técnico da AGE/STISC ou da Agência de Cibersegurança após a auditoria.
Se os 750 mil são pessoas únicas ou IDNPs, e quantos tiveram cada categoria de dado exposta, não está claro. Resolveria: divulgação da AGE com a distribuição por categoria.
Se houve venda, publicação ou uso dos dados ainda não está claro; não localizamos qualquer oferta. Resolveria: monitoramento de fóruns pela própria equipe da AGE ou denúncia de terceiros.
Por que a janela passou de "noite de 22" para 19–23, e por que a extração só foi reconhecida em 27 de outubro, não foi explicado. Resolveria: cronologia detalhada de detecção e decisão de notificação.
Não se sabe se o defeito de log do EVO é anterior ao incidente. Resolveria: esclarecimento da AGE e auditoria do serviço.
Não foi divulgada qualquer manifestação regulatória própria do Centro Nacional de Proteção de Dados Pessoais além de ter sido notificado. Resolveria: comunicado do centro ou abertura de processo.
A ligação entre a denúncia de Tătaru e este caso é só afirmação dele. Resolveria: resposta do SIS, STISC e do Ministério Público.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.